BI.ZONE
Технические статьи
LxBase RAT впервые замечен в атаках на российские компании

LxBase RAT впервые замечен в атаках на российские компании

Злоумышленники доставляют троян через массовые фишинговые рассылки и используют многоступенчатую цепочку загрузчиков

Тактика	Техника	Процедура
Initial Access	Phishing: Spearphishing Attachment	Злоумышленники распространяют ВПО LxBase RAT с помощью фишинговых писем с вложенными RAR‑архивами, содержащими JS‑загрузчики. Примеры названий архивов: `Заказ_17954243003082026_ [redacted]_xlsx.tar`, `[redacted]_Order_180093731072026_xlsx.tar`, `[redacted] Заказ_ 006854101 10092026 docx.tar`
Execution	Command and Scripting Interpreter: PowerShell	Злоумышленники используют PowerShell‑загрузчик для запуска вредоносной DLL, отвечающей за внедрение LxBase RAT в процесс `MSBuild.exe`: `powershell.exe ‑NoP ‑EP Bypass ‑NonInteractive ‑WindowStyle Hidden ‑File %TEMP%\hnvbo87h\dat_86907_ddcd.ps1` Злоумышленники используют LxBase RAT для выполнения PowerShell‑скриптов по команде от C2‑сервера: `powershell.exe ‑ExecutionPolicy Bypass ‑WindowStyle Hidden ‑File”%TEMP%\[random_name].ps1”`
	Command and Scripting Interpreter: Windows Command Shell	Злоумышленники используют вредоносный Batch‑файл для запуска PowerShell‑загрузчика: `cmd.exe /c %TEMP%\y7g0hdyr\svc_29533_4501.cmd` `cmd.exe /S /D /c" type "%TEMP%\y7g0hdyr\run_106461_44d1.dat" "` `powershell.exe -nop -w h -Command -`
	Command and Scripting Interpreter: Visual Basic	Злоумышленники используют VBS‑скрипт для запуска PowerShell‑загрузчика: `wscript.exe %TEMP%\hnvbo87h\log_81481_de3a.vbs`
	Command and Scripting Interpreter: JavaScript	Злоумышленники используют обфусцированные JS‑загрузчики, которые создают копию загрузчика, временные файлы со случайными именами и запускают следующую стадию в виде VBS‑ или Batch‑файла: `wscript.exe Заказ_17954243003082026_ [redacted]_xlsx.js` `wscript.exe [redacted] Заказ_ 006854101 10092026 docx.js`
	Native API	Злоумышленники используют LxBase RAT, в котором поддерживаются API‑функции Windows для внедрения кода в другие процессы: VirtualAllocEx, WriteProcessMemory, CreateRemoteThread, ResumeThread
	User Execution: Malicious File	Жертва должна распаковать RAR‑архив и запустить содержащийся в нем JS‑файл, чтобы инициировать процесс компрометации системы
	Windows Management Instrumentation	Злоумышленники используют LxBase RAT для выполнения WMI‑запросов с целью сбора системной информации и сведений об установленном антивирусном ПО
Persistence	Scheduled Task/Job: Scheduled Task	Злоумышленники используют JS‑загрузчик, закрепляющийся в системе через планировщик заданий Windows: `Имя задачи: MicrosoftEdgeUpdateTaskCore` `Команда: wscript.exe //B //Nologo "%LOCALAPPDATA%\Microsoft\PhotoEngine\PhotoStudio.vbs"` `Триггер: при входе в систему`
Stealth	Deobfuscate/Decode Files or Information	Злоумышленники используют LxBase RAT и загрузчики, которые могут расшифровывать свои строки, конфигурации и нагрузку
	Execution Guardrails: Mutual Exclusion	Злоумышленники используют LxBase RAT для создания и проверки уникального мьютекса с целью предотвращения повторного запуска ВПО
	Hide Artifacts: Hidden Files and Directories	Злоумышленники используют LxBase RAT для создания скрытого системного каталога `%LOCALAPPDATA%\WindowsTelemetry` и записи в него файла `installed.dat` с атрибутами «скрытый» и «системный»
	Hide Artifacts: Hidden Window	Злоумышленники используют LxBase RAT для создания скрытого удаленного рабочего стола (HVNC) в скомпрометированной системе по команде от C2‑сервера
	Indicator Removal: File Deletion	Злоумышленники используют PowerShell‑сценарий для самоудаления и удаления закодированных и зашифрованных файлов: `Remove-Item '%TEMP%\hcy9k4b\run_53580_1f79', '%TEMP%\hcy9k4b\net_76020_1f89', '%TEMP%\hcy9k4b\net_35550_1f98.ps1' -Force -EA 0` Злоумышленники используют Batch‑файл, который удаляет PowerShell‑сценарий, файлы с закодированной и зашифрованной нагрузкой, а также каталог в `%TEMP%`, содержащий данные файлы. После этого Batch‑файл выполняет самоудаление: `@del "%TEMP%\h97nc9i4\run_13957_e1d4.dat" 2>nul @del "%TEMP%\h97nc9i4\log_60134_e1d4" 2>nul @del "%TEMP%\h97nc9i4\run_46361_e1d4" 2>nul @rd "%TEMP%\h97nc9i4" 2>nul @(goto) 2>nul & del "%~f0"`
	Masquerading	Злоумышленники маскируют JS‑загрузчики под документы, используя в названии файлов подстроки xlsx, docx. Примеры названий JS‑загрузчиков: `Заказ_17954243003082026_ [redacted]_xlsx.js`, `[redacted]_Order_180093731072026_xlsx.js`, `[redacted] Заказ_ 006854101 10092026 docx.js`
	Obfuscated Files or Information	Злоумышленники используют обфускацию для затруднения анализа компонентов LxBase RAT. Обфусцированными являются код JS‑загрузчиков, .NET‑сборка, используемая для внедрения кода и защищенная с помощью Crypto Obfuscator, а также сам LxBase RAT
	Obfuscated Files or Information: Encrypted/Encoded File	Злоумышленники шифруют нагрузку с использованием AES‑256‑CBC, применяют к полученным данным операции ROR и XOR, после чего кодируют результат с использованием Base52
	Obfuscated Files or Information: Compression	Злоумышленники распаковывают расшифрованную нагрузку с помощью PowerShell‑загрузчика, используя алгоритм Deflate: `New-Object System.IO.Compression.DeflateStream($msi, ([System.IO.Compression.CompressionMode]::Decompress))`
	Process Injection	Злоумышленники используют вредоносную DLL для внедрения LxBase RAT в процесс `MSBuild.exe`
	Reflective Code Loading	Злоумышленники используют PowerShell‑загрузчики и LxBase RAT для рефлективной загрузки нагрузки
	Virtualization/Sandbox Evasion	Злоумышленники потенциально могут использовать Lx Crypter, который проверяет исполняемое окружение на наличие признаков виртуализации
Credential Access	Credentials from Password Stores	Злоумышленники используют LxBase RAT для поиска и извлечения сохраненных учетных данных из почтовых клиентов Thunderbird, Microsoft Outlook и Foxmail
	Credentials from Password Stores: Credentials from Web Browsers	Злоумышленники используют LxBase RAT для кражи сохраненных учетных данных из браузеров на базе Chromium и Gecko, включая пароли, данные банковских карт, сведения автозаполнения, ключи шифрования браузеров, секреты Local State и данные, защищенные DPAPI и App‑Bound Encryption (ABE). Для браузеров Firefox также поддерживается извлечение учетных данных, защищенных библиотекой NSS (nss3.dll)
	Steal Web Session Cookie	Злоумышленники используют LxBase RAT для кражи cookie‑файлов браузеров на базе Chromium и Gecko, включая Google Chrome, Microsoft Edge, Brave, Opera, Vivaldi, Yandex Browser, Firefox и другие поддерживаемые браузеры
Discovery	File and Directory Discovery	Злоумышленники используют LxBase RAT для сбора информации о файлах и каталогах в системе
	Process Discovery	Злоумышленники используют LxBase RAT для получения информации о запущенных процессах в системе
	Software Discovery: Security Software Discovery	Злоумышленники используют LxBase RAT для получения информации об установленном антивирусном ПО. ВПО применяет два способа: выполняет WMI‑запрос в пространстве имен `root\SecurityCenter2` к классу AntiVirusProduct и извлекает значения свойства `displayName`, а также осуществляет поиск установленных антивирусных продуктов в разделах реестра, содержащих сведения об установленных приложениях: `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall` и `HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall`
	System Information Discovery	Злоумышленники используют LxBase RAT для сбора системной информации, включая имя компьютера, версию, тип сборки и архитектуру операционной системы, сведения о процессоре, оперативной памяти и графическом процессоре
	System Location Discovery	Злоумышленники используют LxBase RAT для получения ISP‑провайдера, города, страны и кода страны через сервис `ip-api[.]com`
	System Location Discovery: System Language Discovery	Злоумышленники используют LxBase RAT для получения информации об используемом языке в скомпрометированной системе
	System Network Connections Discovery	Злоумышленники используют LxBase RAT для получения внутреннего IP‑адреса, а также внешнего IP‑адреса жертвы с помощью сервиса `ip-api[.]com`
	System Owner/User Discovery	Злоумышленники используют LxBase RAT для получения имени текущего пользователя и определения, является ли данный пользователь администратором
Collection	Audio Capture	Злоумышленники используют LxBase RAT для перехвата данных с микрофона и системных звуков скомпрометированного хоста
	Clipboard Data	Злоумышленники используют LxBase RAT для получения содержимого буфера обмена
	Data from Local System	Злоумышленники используют LxBase RAT для получения файлов и данных из скомпрометированной системы
	Input Capture: Keylogging	Злоумышленники используют LxBase RAT для записи нажатий клавиш на компьютере жертвы
	Screen Capture	Злоумышленники используют LxBase RAT для создания снимков экрана системы
	Video Capture	Злоумышленники используют LxBase RAT для получения изображения с веб‑камеры скомпрометированной системы
Command and Control	Ingress Tool Transfer	Злоумышленники используют LxBase RAT для доставки дополнительной вредоносной нагрузки в скомпрометированную систему, а также обновления ВПО LxBase RAT
	Non‑Application Layer Protocol	Злоумышленники используют LxBase RAT, который осуществляет сетевое взаимодействие с помощью собственного протокола, работающего поверх TCP
	Non‑Standard Port	Злоумышленники используют в LxBase RAT сетевой порт 4521 для коммуникации с C2‑сервером
Exfiltration	Automated Exfiltration	Злоумышленники используют LxBase RAT для автоматической эксфильтрации различных файлов и данных на C2‑сервер злоумышленников
	Exfiltration Over C2 Channel	Злоумышленники используют LxBase RAT для передачи украденных данных на C2‑сервер злоумышленников

LxBase RAT впервые замечен в атаках на российские компании

Ключевые выводы

Фишинговые рассылки

Цепочка компрометации

LxBase RAT

Анализ теневых ресурсов

Индикаторы компрометации

Хеш‑суммы файлов

Сетевые индикаторы

MITRE ATT&CK